KRONIKK: Tingenes internett: Et gode, men også trussel mot nasjonen

[Redaksjonen.]

KRONIKK: Tingenes internett: Et gode, men også trussel mot nasjonen

[tommyb]

Liker denne artikkelen, hvordan har det seg at jeg mener jeg allerede har lest den? :-B

Grunnen til at jeg liker denne artikkelen er fordi jeg selv deler den samme oppfatning av at vi vil få potensiell stor nytte og glede, men helt sikkert også store problemer fra IoT, og fordi jeg mener fagmiljøene må fokusere på truslene nå ellers vil det bygges og utrulles katastrofalt usikre IoT-løsninger. 

 

Kolossal angrepsflate: I og med at alt fornettes og potensielt kan nås fra overalt i verden oppstår en kolossal angrepsflate. Satt på spissen, en strømmast som tidligere kun kunne hugges ned eller sprenges, kan i fremtiden i verste fall settes ut av drift elektronisk fra den andre siden av kloden.

 

Dette er ikke verste fall, og jeg føler artikkelen overser et perspektiv. 

 

En strømmast kan være laget for å stå i femti eller hundre år. Se for deg at man så utstyrer strømmasten med en enkel IoT-enhet som skal utføre enkle kontrolloppgaver for masten. Se videre for deg at hver eneste mast som settes opp på denne måten har en slik kontrollenhet. Og hvert strømskap. Og hvert signallys, og kontrollenheter for banesensorer i veien, enheter som bygges inn i alle typer installasjoner, og man får et enormt nett av sammenkoblede enheter. 

 

Der enhetene er levert på anbud til laveste pris, og det er beregnet man skal sette opp enhetene og deretter glemme dem.

 

Hva slags oppfølging vil operativsystemet på disse enhetene få? I Windows-verden var man kanskje vant med 15 år, men i mobil-verden kan man forvente 18 måneders oppfølging og på andre hardware-enheter ingen. Kanskje har ikke selskapet som satte sammen løsningen noen vedlikeholdskontrakt, eller kanskje er selskapet gått konkurs. I alle fall er de ikke interessert i sine gamle produkter, fordi nyere vil finnes og skal selges og brukes. 

 

I dette høyst sannsynlige scenarioet er det ikke angrep mot enhetene som er den største trusselen, det er angrep fra enhetene. Man er i ferd med å bygge opp det største, kraftigste bot-nettet i historien, og venter bare på at noen skal finne en måte å ta over enhetene på. Og når det skjer, er det enheter som står spredt over hele landet, på fjelltopper og i dalbunner, som er innfelt i asfalt og installasjoner, og det ikke vil eksistere ressurser til å bytte ut hvis det oppstår problemer. 

[nessuno]

i korte trekk:

- USA vil utnytte IoT selv i "vennlige" land som Norge for nettopp spionasje

- Våre egne myndigheter vil utnytte IoT for overvåkning

- Ikke-statlige aktører vi avlytte brukere og direkte blande seg inn i deres liv og velferd (eksempelet med han som fikk garasjeporten låst av produsenten)

- det finnes ikke idag og det vil ikke finnes i fremtiden teknologi som kan gjøre f.eks. IoT-lysbryter hjemme sikker. Den kan derimot gjøres sikker ved å ikke har IoT bygget inn i den.

- Produsenter av IoT-enheter vil aldri satse tungt nok på sikkerhet siden det er en enorm utgift

[Gjest Slettet+987123849734]

Liker denne artikkelen, hvordan har det seg at jeg mener jeg allerede har lest den? :-B

Grunnen til at jeg liker denne artikkelen er fordi jeg selv deler den samme oppfatning av at vi vil få potensiell stor nytte og glede, men helt sikkert også store problemer fra IoT, og fordi jeg mener fagmiljøene må fokusere på truslene nå ellers vil det bygges og utrulles katastrofalt usikre IoT-løsninger. 

 

Kolossal angrepsflate: I og med at alt fornettes og potensielt kan nås fra overalt i verden oppstår en kolossal angrepsflate. Satt på spissen, en strømmast som tidligere kun kunne hugges ned eller sprenges, kan i fremtiden i verste fall settes ut av drift elektronisk fra den andre siden av kloden.

 

Dette er ikke verste fall, og jeg føler artikkelen overser et perspektiv. 

 

En strømmast kan være laget for å stå i femti eller hundre år. Se for deg at man så utstyrer strømmasten med en enkel IoT-enhet som skal utføre enkle kontrolloppgaver for masten. Se videre for deg at hver eneste mast som settes opp på denne måten har en slik kontrollenhet. Og hvert strømskap. Og hvert signallys, og kontrollenheter for banesensorer i veien, enheter som bygges inn i alle typer installasjoner, og man får et enormt nett av sammenkoblede enheter. 

 

Der enhetene er levert på anbud til laveste pris, og det er beregnet man skal sette opp enhetene og deretter glemme dem.

 

Hva slags oppfølging vil operativsystemet på disse enhetene få? I Windows-verden var man kanskje vant med 15 år, men i mobil-verden kan man forvente 18 måneders oppfølging og på andre hardware-enheter ingen. Kanskje har ikke selskapet som satte sammen løsningen noen vedlikeholdskontrakt, eller kanskje er selskapet gått konkurs. I alle fall er de ikke interessert i sine gamle produkter, fordi nyere vil finnes og skal selges og brukes. 

 

I dette høyst sannsynlige scenarioet er det ikke angrep mot enhetene som er den største trusselen, det er angrep fra enhetene. Man er i ferd med å bygge opp det største, kraftigste bot-nettet i historien, og venter bare på at noen skal finne en måte å ta over enhetene på. Og når det skjer, er det enheter som står spredt over hele landet, på fjelltopper og i dalbunner, som er innfelt i asfalt og installasjoner, og det ikke vil eksistere ressurser til å bytte ut hvis det oppstår problemer. 

I ditt eksempel vil vel svaret være at de skal ikke være på internett. Mye av den kritiske infrastrukturen har ingenting på internett å gjøre og har man valgt å plassere enhetene her, så er det her selve design feilen ligger og ikke hvor bra "brannmuren" på enheten er.

 

Sårbare iot enheter vil og burde primært være for enheter for husholdning og mindre bedrifter. Her burde problemet bli løst på brannmurnivå mellom modem og lokalnett, sånn at det kun er en enhet som har behov for vedlikehold.

 

Folk vil aldri oppdatere programvaren i lysdimmeren sin, sentralvarmeløsningen, etc og det skal heller ikke være nødvendig.

[tommyb]

 

Sårbare iot enheter vil og burde primært være for enheter for husholdning og mindre bedrifter. Her burde problemet bli løst på brannmurnivå mellom modem og lokalnett, sånn at det kun er en enhet som har behov for vedlikehold.

 

Folk vil aldri oppdatere programvaren i lysdimmeren sin, sentralvarmeløsningen, etc og det skal heller ikke være nødvendig.

 

 

Samtidig er trenden at hver lysdimmer, sentravarmeløsning og lyspære har egen app, cloudløsning og derfor allerede har punchet seg hull ut fra rutermodemet, og per i dag betyr det at disse enhetene må oppdateres, som de ikke blir. 

[Gjest Slettet-Pqy3rC]

Folks behov for "lettvindt" er en mye større trussel mot tryggheten enn allverdens terror. Skal kunne gjøre alt uten å vite en dritt. Lar andre få fullstendig kontroll uten engang å bry seg med hvem "andre" er. Jeg forstår ikke folk.

[Gjest Slettet+987123849734]

 

 Sårbare iot enheter vil og burde primært være for enheter for husholdning og mindre bedrifter. Her burde problemet bli løst på brannmurnivå mellom modem og lokalnett, sånn at det kun er en enhet som har behov for vedlikehold.

 

Folk vil aldri oppdatere programvaren i lysdimmeren sin, sentralvarmeløsningen, etc og det skal heller ikke være nødvendig.

 

 

Samtidig er trenden at hver lysdimmer, sentravarmeløsning og lyspære har egen app, cloudløsning og derfor allerede har punchet seg hull ut fra rutermodemet, og per i dag betyr det at disse enhetene må oppdateres, som de ikke blir. 

Og det er her jobben til brannmuren kommer inn. Den må forstå hva som er riktig trafikk ifra denne enheten og hvordan trafikk den ikke får sende. F.eks kan man si at den får kun lov å opprette https forbindelser til spesifikke dns navn. (så er det jo mulighet for å manipulere dns, men da er vi på et annet nivå og her er vel dnssec ol som er løsningen).

 

Det er en utopi å tro at iot enheter vil bli oppdatert, derfor må man lage løsningen på problemet som ikke går ut på å oppdatere de.

[tommyb]

 

Og det er her jobben til brannmuren kommer inn. Den må forstå hva som er riktig trafikk ifra denne enheten og hvordan trafikk den ikke får sende. F.eks kan man si at den får kun lov å opprette https forbindelser til spesifikke dns navn. (så er det jo mulighet for å manipulere dns, men da er vi på et annet nivå og her er vel dnssec ol som er løsningen).

 

Det er en utopi å tro at iot enheter vil bli oppdatert, derfor må man lage løsningen på problemet som ikke går ut på å oppdatere de.

 

 

IoT-enheter vil ikke bli oppdatert, i alle fall ikke de første generasjonene. Men det finnes heller ikke brannmurer/rutermodembrannmurer i dag som er intelligente nok til å vite om trafikk er ondsinnet eller ikke, hverken på vei inn eller ut. Første steg er vel å få på plass inntrengingssystemer og andre deteksjonssystemer, men dette er ikke noe vanlige husholdninger har tilgang til og i alle fall ikke kjennskap til. Og den viktigste beslutningstakeren her er Telenor/NextGenTel/Ventelo som i praksis bestemmer hva slags sikkerhetssystem som skiller den vanlige lyspæra fra internett. Og hvem av disse har begynt å tenke på det? 

 

For at trusselbildet i IoT skal bli redusert, så er det mye som må jobbes med, og første steg er å sette fokus på det.

[Bolson]

Folks behov for "lettvindt" er en mye større trussel mot tryggheten enn allverdens terror. Skal kunne gjøre alt uten å vite en dritt. Lar andre få fullstendig kontroll uten engang å bry seg med hvem "andre" er. Jeg forstår ikke folk.

 

Du er ikke alene. Men realiteten er at for folk flest er dette helt "abstrakte" trusler - samt at man er litt naiv. Tror man må enten oppleve å bli "hacket", få demonstrert problemet eller ha nok kunnskap før man bryr seg.

[tommyb]

 

Du er ikke alene. Men realiteten er at for folk flest er dette helt "abstrakte" trusler - samt at man er litt naiv. Tror man må enten oppleve å bli "hacket", få demonstrert problemet eller ha nok kunnskap før man bryr seg.

 

 

 

Selv det å fortelle familien at de ikke kan ha et kort ord som passord er nok til at de mener det er du som er paranoid, og ikke internett som er skummelt. Og det etter å allerede ha gått på kredittkort-scammen iPhone for 10 kroner, og etter å blitt ringt opp av "Windows Technical Support". Ikke bare er trusselen abstrakt, men de føler total trygghet fordi det er så mange andre mennesker på internett og ingen vil vel bry seg om bare lille dem. 

 

 

Trusselen tas ikke alvorlig av forbrukerne og det blir aldri et konkurranseområde. Jeg mener seriøst at ingen har større ansvar for hjemmesikkerhet enn ISPene, for det er faktisk de som bestemmer hvilken hardware (m/ software) som står ytterst mot verden i > 99% av alle hjem. Men i likhet med IoP-produsenter, er det heller ikke der noen økonomisk interesse i å investere i sikrere løsninger. 

[G]

i korte trekk:

- USA vil utnytte IoT selv i "vennlige" land som Norge for nettopp spionasje

- Våre egne myndigheter vil utnytte IoT for overvåkning

- Ikke-statlige aktører vi avlytte brukere og direkte blande seg inn i deres liv og velferd (eksempelet med han som fikk garasjeporten låst av produsenten)

- det finnes ikke idag og det vil ikke finnes i fremtiden teknologi som kan gjøre f.eks. IoT-lysbryter hjemme sikker. Den kan derimot gjøres sikker ved å ikke har IoT bygget inn i den.

- Produsenter av IoT-enheter vil aldri satse tungt nok på sikkerhet siden det er en enorm utgift

 

Vi blir jo allerede kameraovervåket på veier på flere vis:

 

- Normal trafikkflytsvideo

- Fotobokser for fartsmåling

- Bomstasjoners video for å sikre at ingen sniker unna betaling

 

Det finnes sikkert noen slike til som en ikke så lett kommer på.

 

Selv enkelte kamera er per definisjon utstyrt som en IoT-dings. Gjelder selvsagt ikke alle kamera. Men mange av dem er ihvertfall minst på et lokalnettverk. Lokalnettverk kan være vanskelige å bygge over alt, så da går noe trådløst. Og det kan godt tenkes at noe også går i VPN-tunnel over internettet.

[tommyb]

IoT er mange plasser, men dette skal øke voldsomt fremover. Men er dette en trussel? Ja. Noe så enkelt som en skiltlogg fra bomringen kan være svært interessant for en innbruddsliga. Antall punkter som burde være sikret er langt, langt større nå enn for tjue år siden. Samtidig blir hvert av disse punktene stadig billigere produkter og eventuelle vedlikeholdsavtaler uforholdsmessig dyre.